基本情報技術者 2016年 春期 午前（科目A） 問37

SQLインジェクション攻撃【午前解説】

正解の理由

解法ステップ

1. 設問文のキーワードを拾う：今回は「データ操作言語」「構成した文字列」「不正取得・改ざん・削除」。
2. 各選択肢がどの攻撃手法を説明しているか対応づける（DDoS、バッファオーバーフロー、XSS等）。
3. その中でDB操作に関係し、入力を介して任意のSQLが実行される説明を選ぶ。
4. 被害（取得・改ざん・削除）の記述がある選択肢を重視する。
5. 最終確認として他選択肢が別攻撃（ネットワーク攻撃、メモリ破壊、スクリプト実行）を説明していないか確認する。

選択肢別の誤答解説

• ア（正解）：DBに対する不正な取得・改ざん・削除を、攻撃者が構成した入力で引き起こす点を正しく説明しています。
• イ：大量パケットでネットワークトラフィックを上げサービス不能にする説明で、DDoS（DoS）攻撃の説明です。SQLインジェクションとは別物です。
• ウ：メモリ領域の境界を超えた書込み・読出しでプログラムを異常終了させたり不正コードを実行させる説明はバッファオーバーフロー（メモリ破壊）攻撃です。
• エ：攻撃者が仕掛けたページで不正スクリプトが実行され情報漏えいを起こす説明はクロスサイトスクリプティング（XSS）で、ブラウザ側でのスクリプト実行が問題になります。

よくある誤解

• 「SQLインジェクション＝クロスサイトスクリプティング（XSS）」と混同する人が多いですが、SQLiはDB操作を対象、XSSはブラウザ上でのスクリプト実行が対象です。
• 「認証済みでないと実行できない」と思い込む誤解。多くのSQLiは認証前でも攻撃可能で、公開フォームや検索窓から狙われます。
• 「単にエスケープすれば安全」も誤りで、エスケープ方法を間違うと抜け道が残りやすく、プレペアド文やパラメータ化が推奨されます。

補足コラム

• プレペアドステートメント／パラメータ化クエリを使用してSQL文とデータを分離する。
• 入力はホワイトリスト検証（許容値のみ許可）を優先し、不要なエラーメッセージは出さない。
• DB接続ユーザに最小権限を付与し、不要な更新・削除権限を与えない。
• WAFやIDSでパターン検出・ログ監視を行う。
  例：Python（sqlite3）での安全なクエリ例

import sqlite3
conn = sqlite3.connect('example.db')
cur = conn.cursor()
# ユーザ入力を直接SQL文字列に連結しない
cur.execute("SELECT * FROM users WHERE name = ?", (user_input,))
rows = cur.fetchall()

FAQ